病毒的發(fā)展與技術(shù)-計(jì)算機(jī)病毒的發(fā)展過程(文件)
【正文】 這個(gè)節(jié)里放有未初始化的全局變量和靜態(tài)這個(gè)節(jié)里放有未初始化的全局變量和靜態(tài)變量。n 資源節(jié)是樹形結(jié)構(gòu)的，它有一個(gè)主目錄，資源節(jié)是樹形結(jié)構(gòu)的，它有一個(gè)主目錄，主目錄下又有子目錄，子目錄下可以是子主目錄下又有子目錄，子目錄下可以是子目錄或數(shù)據(jù)。結(jié)構(gòu)如下：IMAGE_RESOURCE_DIRECTORY 結(jié)構(gòu)結(jié)構(gòu)順序順序 名字名字 大小（大?。ㄗ止?jié)）字節(jié)）描述描述1 Characteritics 4 通常為通常為 02 TimeDateStamp 4 資源生成時(shí)間資源生成時(shí)間3 MajorVersion 2 主版本號(hào)主版本號(hào)4 MinorVersion 2 次版本號(hào)次版本號(hào)5 NumberOfNamedEntries 2 以名字標(biāo)識(shí)的資源以名字標(biāo)識(shí)的資源數(shù)數(shù)6 NumberOfldEntries 2 以以 ID標(biāo)識(shí)的資源數(shù)標(biāo)識(shí)的資源數(shù)引入函數(shù)節(jié)引入函數(shù)節(jié)n 一個(gè)引入函數(shù)是被某模塊調(diào)用的但又不在一個(gè)引入函數(shù)是被某模塊調(diào)用的但又不在調(diào)用者模塊中的函數(shù)調(diào)用者模塊中的函數(shù) n 這個(gè)節(jié)一般名為這個(gè)節(jié)一般名為 .idata，也叫引入表。n 它的開始是一個(gè)它的開始是一個(gè)IMAGE_IMPORT_DESCRIPTOR數(shù)組。^_^ 謝謝！謝謝！n演講完畢，謝謝觀看！。這個(gè)數(shù)組的長度不定，但他的最后一項(xiàng)是全數(shù)組的長度不定，但他的最后一項(xiàng)是全 0，可以以此判斷數(shù)組的結(jié)束。n 它包含從其它（系統(tǒng)或第三方寫的）它包含從其它（系統(tǒng)或第三方寫的） DLL中中引入的函數(shù)，例如引入的函數(shù)，例如 、 等。n 都是一個(gè)都是一個(gè) IMAGE_RESOURCE_DIRECTORY結(jié)構(gòu)。資源節(jié)資源節(jié)n 資源節(jié)一般名為資源節(jié)一般名為 .rsrcn 這個(gè)節(jié)放有如圖標(biāo)、對(duì)話框等程序要用到這個(gè)節(jié)放有如圖標(biāo)、對(duì)話框等程序要用到的資源。如 Hello World 中的字符串中的字符串“Hello World!”。n 每個(gè)每個(gè) PE文件都有代碼節(jié)文件都有代碼節(jié)n 在代碼節(jié)中，還有一些特別的數(shù)據(jù)，是作為調(diào)在代碼節(jié)中，還有一些特別的數(shù)據(jù)，是作為調(diào)用映入函數(shù)之用。4 SizeOfRawData * 4 本節(jié)的原始尺寸本節(jié)的原始尺寸5 PointerToRawData * 4 本節(jié)原始數(shù)據(jù)在文件中的位置本節(jié)原始數(shù)據(jù)在文件中的位置IMAGE_SECTION_HEADER順序順序 名字名字 大小大?。ㄗ郑ㄗ止?jié)）節(jié)）描述描述6 PointerToRelocations 4 OBJ中表示該節(jié)重定位信息的偏移中表示該節(jié)重定位信息的偏移EXE文件中無意義文件中無意義7 PointerToLinenumbers 4 行號(hào)偏移行號(hào)偏移8 NumberOfRelocations 2 本節(jié)要重定位的數(shù)目本節(jié)要重定位的數(shù)目9 NumberOfLinenumbers 2 本節(jié)在行號(hào)表中的行號(hào)數(shù)目本節(jié)在行號(hào)表中的行號(hào)數(shù)目10 Characteristics * 4 節(jié)屬性節(jié)屬性節(jié)節(jié) “節(jié)（節(jié)（ Section)”跟在節(jié)表之后，一般跟在節(jié)表之后，一般 PE文件都有文件都有幾個(gè)幾個(gè) “節(jié)節(jié) ”。IMAGE_SECTION_HEADER順序順序 名字名字 大小（大?。ㄗ止?jié)）字節(jié)）描述描述1 Name * 8 節(jié)名節(jié)名2 PhysicalAddress或或VirtualSize4 OBJ文件用作表示本節(jié)物理地址文件用作表示本節(jié)物理地址EXE文件中表示節(jié)的真實(shí)尺寸文件中表示節(jié)的真實(shí)尺寸3 Virtual * 4 這個(gè)值這個(gè)值 +映像基地址映像基地址 =本節(jié)在內(nèi)本節(jié)在內(nèi)存中的真正地址。節(jié)表結(jié)構(gòu)又命名為定。的項(xiàng)數(shù)由上一個(gè)域給出。每個(gè)?？梢砸源?值值 作作 為為 PE文件第一文件第一 節(jié)節(jié) 的文件偏移量。SizeOfImage 內(nèi)存中整個(gè)內(nèi)存中整個(gè) PE映像體的尺寸?？蛇x映像頭可選映像頭名字名字 描述描述MajorSubsystemVersionMinorSubsystemVersion win32子系子系 統(tǒng)統(tǒng) 版本。SectionAlignment 內(nèi)存中內(nèi)存中 節(jié)對(duì)齊節(jié)對(duì)齊 的粒度。比如，如果 該值該值 是是400000h， PE裝裝 載載 器將器將 嘗試嘗試 把文件裝到虛把文件裝到虛 擬擬地址空地址空 間間 的的 400000h處處 。若要改 變變 整個(gè)整個(gè) 執(zhí)執(zhí) 行的流程，可以將行的流程，可以將 該該值值 指定到新的指定到新的 RVA， 這樣這樣 新新 RVA處處 的指令首的指令首先被先被 執(zhí)執(zhí) 行。每個(gè) RVA都是相都是相 對(duì)對(duì) 于于模模 塊塊 的起始的起始 VA的。代表相對(duì)虛擬地址。這里只介紹那些真域，一些是很關(guān)鍵，另一些不太常用。包含了后成員。 SizeOfOptionalHeader WORD ? NumberOfSections WORD ? n 它實(shí)際上是結(jié)構(gòu)它實(shí)際上是結(jié)構(gòu) IMAGE_FILE_HEADER的簡稱。n 這個(gè)字串在文件中的位置（這個(gè)字串在文件中的位置（ e_lfanew），），可以在可以在 DOS程序頭中找到它的指針，它占用程序頭中找到它的指針，它占用四個(gè)字節(jié)，位于文件開始偏移四個(gè)字節(jié)，位于文件開始偏移 3CH字節(jié)中。headerPe header 由三部分組成由三部分組成n 字串字串 “PE\0\0”（（ Signature））n 映像文件頭（映像文件頭（ FileHeader））n 可選映像頭（可選映像頭（ OptionalHeader））字串字串 “PE\0\0”n Signature 一一 dword類型，值為類型，值為 50h, 45h, 00h, 00h（（ PE\0\0）。身的方向發(fā)展。 病毒的發(fā)展趨勢(shì)病毒的發(fā)展趨勢(shì)從以上病毒的發(fā)展過程我們可以看出病毒有如下的發(fā)展從以上病毒的發(fā)展過程我們可以看出病毒有如下的發(fā)展趨勢(shì)：趨勢(shì)：n 病毒向有智能和有目的的方向發(fā)展病毒向有智能和有目的的方向發(fā)展n 未來凡能造成重大危害的，一定是未來凡能造成重大危害的，一定是 “蠕蟲蠕蟲 ”。 n 此外，此外， “中國黑客中國黑客 ”病毒還預(yù)留了接口，只要作者愿意的話很多破壞功病毒還預(yù)留了接口，只要作者愿意的話很多破壞功能與傳播方式很快就可以加上。 n 在傳播方式上，在傳播方式上， “中國黑客中國黑客 ”尋找用戶郵件地址薄來向外發(fā)病毒郵件傳尋找用戶郵件地址薄來向外發(fā)病毒郵件傳播，或通過局域網(wǎng)傳播，這一點(diǎn)與求職信病毒非常相似。 n 分線程分線程 2：不斷監(jiān)視注冊(cè)表的某個(gè)值（：不斷監(jiān)視注冊(cè)表的某個(gè)值（ run項(xiàng)），一旦項(xiàng)），一旦被人工或反病毒軟件修改，他立即重新寫入這個(gè)值，被人工或反病毒軟件修改，他立即重新寫入這個(gè)值，保證自己下次啟動(dòng)時(shí)拿到控制權(quán)。 n 主線程：往硬盤寫入病毒文件或感染其他執(zhí)行文件。n 在網(wǎng)絡(luò)上出現(xiàn)的一些在網(wǎng)絡(luò)上出現(xiàn)的一些 “求職信求職信 ”變種的專殺工具，變種的專殺工具，由于無法適用于所有的變種，因此在殺除一些變由于無法適用于所有的變種，因此在殺除一些變
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1